女孩玩的書組

【51CTO.com快譯】靜態程式碼分析，或稱為原始碼分析，是一種將靜態程式碼分析工具，以非執行的方式運用到軟體原始碼上，以審查其是否符合既定的編碼標準，進而發現各種潛在漏洞的方法。通常，靜態分析可以為我們帶來如下好處：

在程式碼被執行之前，獲取對其的深入洞見與動態分析相比，靜態分析的執行速度更快可自動化維護程式碼的質量能夠在早期階段自動搜尋出部分錯誤(儘管不是全部)可以在早期階段自動發現各種安全問題

在實際運用中，您可以使用任何帶有靜態分析器的IDE(如：Pycharm使用的是pep8)，來開展靜態分析。下面，讓我們一起來探討一下，目前市場上七種領先的靜態程式碼分析工具：

1.DeepSource

DeepSource可幫助您在程式碼審查期間，自動查詢並修復程式碼中的各類問題。在使用過程中，它可以與使用者的Bitbucket、GitHub或GitLab帳戶相整合。該工具可以查詢反模式(anti-patterns)、Bug風險、以及由效能引發的各種問題。同時，DeepSource還會生成並跟蹤例如：依賴項數量、文件覆蓋率等相關指標。

該分析器既可以執行在檔案級別，在特定位置發現反模式;又可以執行在儲存庫級別，發現某些依賴項尚未安裝等深層次問題。此外，DeepSource的Autofix還會為發現的問題提供修復建議，並根據更改建議建立拉取式請求。

主要特徵

提供單個檔案配置對拉取式請求進行質量審查能夠覆蓋廣泛的問題提供主動且可維護的分析器可詳細解析每個問題可跟蹤程式碼的各項指標可透過自定義分析，選擇性忽略某些問題可針對常見問題提出修復建議，如適合，可根據更改建議建立拉取式請求無需設定CI，即可在每一次提交和拉取請求上，執行Black、YAPF、Go fmt等程式碼格式化檔案。

缺點

不支援PHP語言

語言支援

支援Python、JavaScript、Go、Ruby、Java、Docker、TestIdentify能夠在每一次提交和拉取請求中覆蓋SQL、Terraform、Shell

定價：

DeepSource免費提供給開源組織、學生組織、以及非營利組織使用。其付費計劃從每使用者、每月12美元起，具體請參見--https://deepsource.io/pricing/?utm_source=dzone。2.SonarQube

作為一種流行的靜態分析工具，SonarQube可用於持續審查程式碼庫中的程式碼質量和安全性，並在程式碼審查期間給予開發團隊相應的指導。同時，它也可被用於帶有CI/CD整合的自動化程式碼審查中。此外，SonarQube還透過提供質量管理工具，來主動協助IDE整合、Jenkins整合、持續整合伺服器、以及確保程式碼檢視工具的正確設定。

主要特徵

支援多語言提供安全分析確保程式碼的釋出質量具有可維護性可識別出較為棘手的問題

缺點

並非所有的IDE都能夠支援SonarQube無法為那些團隊暫時繞開，或暫緩解決的問題提供忽略選項

語言支援

支援包括Java、C#、JavaScript、TypeScript、C/C ++、以及COBOL等25種以上的程式語言

定價：

SonarQube的社群版是免費和開源的。其商業版許可證的售價為120歐元起，具體請參見--https://www.sonarsource.com/plans-and-pricing/。3.Codacy

Codacy是一種靜態分析工具，可以幫助開發人員解決技術問題，並提高程式碼質量。Codacy在每一次提交和PR(產品迭代)中監視程式碼質量。您可以用它來執行程式碼質量標準，執行安全性實踐，並節省程式碼審查的時間。

主要特徵

提供程式碼審查的自動化提供程式碼質量分析支援程式碼安全性分析支援叢集安裝與多例項

缺點

缺乏與某些SaaS服務的整合，其中包括：Sonatype、Blackduck、AWS API閘道器的API QOS各項指標、以及UI/E2E的各種Saas測試服務無法對專案的相關資訊進行加密，或是限制對UI中的原始碼進行訪問其擁有的社群相對較小

語言支援

支援包括Elixir、Go、Java、JavaScript、JSON、Kotlin、Python、Ruby、Scala、Swift、TypeScript等30多種語言。

定價：

Codacy具有免費的開源版本。其高階版本的起價為每使用者、每月15美元，具體請參見--https://www.codacy.com/pricing。4.DeepScan

DeepScan是一款業界技術領先的靜態分析工具。它能夠方便開發人員查詢執行時(runtime)中的各項錯誤與質量問題，而不僅僅停留在編碼規則的層面上。透過將DeepScan與目標GitHub儲存庫的整合，您可以對自己專案的產品質量進行深入瞭解。

主要特徵

錯誤追蹤自動化構建程式碼審查協作持續整合

缺點

支援的程式語言較為有限

語言支援

能夠支援JavaScript、TypeScript、React和Vue.js。

定價：

DeepScan對於開源專案是免費的。其付費計劃從每使用者、每月9美元起，具體請參見--https://deepscan.io/pricing/。5.Embold

作為一種通用的靜態分析器，Embold既可幫助開發人員在那些關鍵程式碼問題出現在產品中之前，事先查詢並定位它們，又能夠針對應用程式，提供診斷、轉換和運維等服務。

由於整合了AI和機器學習技術，Embold能夠透過評級機制，對發現的問題提出最佳解決方案，並按需對應用進行重構。而且，它可執行在諸如DevOps技術棧、本地系統、私有云、以及公有云中。

主要特徵

直觀的使用者介面提供更加深入和快速的審查增強的智慧效能提供無縫的整合

缺點

定價過高

語言支援

Java、C、C ++、C#、Objective-C、TypeScript、JavaScript、Python、PHP、Go、Kotlin、Solidity、SQL

定價：

Embold的基本版本是免費開源的。其高階版本的售價從每月10歐元起，具體請參見--https://embold.io/pricing-cloud。6.Veracode

Veracode是一款僅針對安全性問題的流行靜態程式碼分析工具。它能夠透過IDE掃描、管道(pipeline)掃描、以及策略掃描等方式，在整個管道中執行程式碼審查，以發現安全漏洞。透過建立對於程式碼的評估，Veracode能夠被作為程式的一部分進行審計。

主要特徵

提供編碼時的安全性反饋在管道中提供快速的執行成果滿足審計員的各項要求分析的精度較高，無需額外調優提供修復建議

缺點

不提供任何可自定義的掃描規則UX(使用者體驗)不太好

語言支援

Java、.NET、JavaScript、Scala、Python、PHP、Ruby on Rails、ColdFusion、Swift、C/C ++、COBOL、Visual Basic 6、RPG等

定價：

Embold許可證的定價取決於目標專案的規模。您可以透過連結—https://info.veracode.com/request-quote.html，獲悉詳細報價。7.Reshift

Reshift是一個基於SaaS的軟體平臺。它可以無縫地被整合到軟體開發的工作流程中。專案團隊可以用它來加速交付流程，並確保持續部署過程中的安全性。Reshift能夠減少他們花費在查詢與修復漏洞，識別資料洩露的潛在風險，以及協助軟體產品合規性等方面的成本和時間。

主要特徵

能夠快速被設定提供安全掃描

缺點

除Java之外，並不支援其他語言

語言支援

Java

定價：